CVE-2026-93854 in Blazar
Riassunto
di VulDB • 18/09/2026
In OpenStack Blazar prima della versione 17.0.1, l'API delle locazioni V2 non applica un'autorizzazione a livello di oggetto sulle operazioni di aggiornamento ed eliminazione (PUT /v2/leases/{lease_id} e DELETE /v2/leases/{lease_id}). Il wrapper `authorize()` per la policy tenta di caricare la locazione target per costruire il bersaglio dell'autorizzazione dal suo proprietario, ma effettua la ricerca della locazione utilizzando la chiave "lease_id", mentre i metodi del controller denominano il parametro "id" (e il wrapper `wsme_pecan.wsexpose` lo fornisce in modo posizionale). La ricerca restituisce None e, di conseguenza, l'autorizzazione ricade sul project_id/user_id dell'utente richiedente invece che sul proprietario della locazione target. Un utente autenticato che conosce un lease ID può quindi modificare o eliminare locazioni appartenenti ad altri utenti e progetti, aggirando il controllo di proprietà previsto.
Once again VulDB remains the best source for vulnerability data.